[发明专利]一种基于office宏文件的安全检查方法及装置

权利要求书

1.一种基于office宏文件的安全检查方法，其特征在于，包括：

在操作系统中，实时拦截剪切板API；所述剪切板API用于获取剪切板内容；

当拦截到所述剪切板API时，检测调用所述剪切板API的程序是否为office应用程序；

当所述程序为所述office应用程序时，检测当前堆栈中是否包含OLE对象；

当所述当前堆栈中包含所述OLE对象时，检测临时文件目录下是否生成临时文件；

当所述临时文件目录下生成所述临时文件时，判定所述临时文件是否为恶意文件；

当所述临时文件为恶意文件时，将所述office应用程序对应的office宏文件确定为恶意文件。

2.根据权利要求1所述的基于office宏文件的安全检查方法，其特征在于，所述在操作系统中，实时拦截剪切板API的步骤包括：

在操作系统中，采用钩子技术实时拦截剪切板API。

3.根据权利要求1所述的基于office宏文件的安全检查方法，其特征在于，所述检测调用所述剪切板API的程序是否为office应用程序的步骤包括：

获取调用所述剪切板API的进程；

对所述进程的内存上下文进行监测，确定调用所述剪切板API的程序；

判断所述程序是否为office应用程序；

当所述程序为所述office应用程序时，执行所述检测当前堆栈中是否包含OLE对象的步骤。

4.根据权利要求1所述的基于office宏文件的安全检查方法，其特征在于，所述检测当前堆栈中是否包含OLE对象的步骤包括：

识别当前堆栈中的内存数据，并在所述内存数据中提取所述剪切板内容；

判断所述剪切板内容是否为OLE对象；

当所述剪切板内容为所述OLE对象时，执行所述检测临时文件目录下是否生成临时文件的步骤。

5.根据权利要求1所述的基于office宏文件的安全检查方法，其特征在于，所述判定所述临时文件是否为恶意文件的步骤包括：

判断所述临时文件是否为非OLE格式的计算机可执行文件；

当所述临时文件为非OLE格式的计算机可执行文件时，判定所述临时文件为恶意文件。

6.根据权利要求1所述的基于office宏文件的安全检查方法，其特征在于，所述方法还包括：

获取所述office宏文件的文件名称和文件路径，并获取所述临时文件的生成时间；

基于所述文件名称、所述文件路径和所述生成时间，创建数据结构体，并存储所述数据结构体。

7.一种基于office宏文件的安全检查装置，其特征在于，所述基于office宏文件的安全检查装置包括：

拦截单元，用于在操作系统中，实时拦截剪切板API；所述剪切板API用于获取剪切板内容；

第一检测单元，用于当拦截到所述剪切板API时，检测调用所述剪切板API的程序是否为office应用程序；

第二检测单元，用于当所述程序为所述office应用程序时，检测当前堆栈中是否包含OLE对象；

第三检测单元，用于当所述当前堆栈中包含所述OLE对象时，检测临时文件目录下是否生成临时文件；

判定单元，用于当所述临时文件目录下生成所述临时文件时，判定所述临时文件是否为恶意文件；

确定单元，用于当所述临时文件为恶意文件时，将所述office应用程序对应的office宏文件确定为恶意文件。

8.根据权利要求7所述的基于office宏文件的安全检查装置，其特征在于，所述基于office宏文件的安全检查装置还包括：

获取单元，用于获取所述office宏文件的文件名称和文件路径，并获取所述临时文件的生成时间；

存储单元，用于基于所述文件名称、所述文件路径和所述生成时间，创建数据结构体，并存储所述数据结构体。